BLUEPRINT DE SEGURIDAD DE APLICACIONES EN LA NUBE: ARQUITECTURAS Y SOLUCIONES

T E M E R E C E S L A M E J O R S E G U R I D A D

APROVECHAMIENTO DEL ANÁLISIS DE IA CONTEXTUAL PARA AUTOMATIZAR L A SEGURIDAD DE L AS APLICACIONES

2BLUEPRINT DE SEGURIDAD DE APLICACIONES EN LA NUBE

Introducción El desarrollo de aplicaciones ha mutado y crecido con la rápida adopción de entornos basados en la nube. Como su nombre lo sugiere, las aplicaciones web son programas a los que los usuarios pueden acceder a través de un navegador web. Son una parte invaluable de la presencia web de una organización. A menudo, esta presencia incorpora interfaces de programación de aplicaciones (API) que permiten el acceso mediante programación a las aplicaciones web de una organización o a los servicios subyacentes de la aplicación.

No es de extrañar que estas aplicaciones web y API web sean un objetivo común de los delincuentes cibernéticos. La creciente amenaza se convierte en más peligrosa debido a la adopción de servicios en la nube necesarios para crear tales aplicaciones. Los servicios de protección de aplicaciones web y API (WAAP) en la nube constituyen la evolución de los servicios de firewall de aplicaciones web en la nube para enfrentar estos nuevos desafíos.

Las soluciones tradicionales se basan en reglas: analizan cada solicitud de forma aislada y las comparan con reglas establecidas manualmente. El problema con este enfoque radica en el rápido ritmo de desarrollo de aplicaciones. El mismo motivo por el que los desarrolladores se sienten atraídos a los sistemas de aplicaciones web basados en la nube es lo que crea una creciente superficie de ataque. Las aplicaciones están evolucionando más rápido que nunca, creando y exponiendo a más API.

3BLUEPRINT DE SEGURIDAD DE APLICACIONES EN LA NUBE

La nube ha matado a los WAF basados en reglas Los WAF binarios basados en reglas no son suficientes para proteger las aplicaciones cada vez más complejas. Los motivos son los siguientes:

1. En general, las aplicaciones web basadas en la nube aprovechan múltiples fuentes de código, incluidos los repositorios de código abierto. Una aplicación está constituida por pequeñas piezas de código únicas y con un solo propósito, pero existen en cantidades cada vez mayores. Esto puede llevar a más vulnerabilidades. En el caso del código abierto, vulnerabilidades muy conocidas que pueden ser vectores fáciles para un ataque.

2. El ritmo del cambio es infinitamente más rápido que antes. Las modernas aplicaciones en la nube pueden estar a un clic de distancia de la producción. Un compromiso con Github pasará automáticamente por los entornos de pruebas/montaje y, luego, el de producción con poca participación humana. Toda solución que requiera el ajuste manual de la seguridad de la aplicación nunca seguirá el ritmo del desarrollo.

3. Las aplicaciones se han vuelto más abiertas y conectadas. Las modernas aplicaciones en la nube incluyen un elevado número de recursos que interactúan con servicios de terceros fuera del "perímetro". Los datos pueden fluir hacia o desde las aplicaciones de muchas más maneras que en el pasado. En efecto, actualmente existen cientos de perímetros para asegurar.

4. Como siempre, los ataques aumentan constantemente en su nivel de sofisticación. Además del uso de bots y API como vectores de ataque, existe un importante problema de escalada de privilegios en la nube. Los atacantes que se infiltran en una aplicación buscarán las claves de API para otras aplicaciones o recursos. Debido a los errores de configuración de los permisos basados en roles, la ejecución remota de código puede ser mucho más dañina en la nube.

La mejor alternativa a los WAF binarios basados en reglas es una solución que no requiera el ajuste de reglas con implementación automatizada. Con el empleo del concepto de autoprotección de aplicaciones y la tecnología de un motor de IA contextual con patente pendiente, la innovadora tecnología de CloudGuard AppSec puede lograr lo siguiente:

• Automatizar la implementación y detener los ataques a la capa de aplicación, incluido OWASP Top 10, sin ajustes manuales ni falsos positivos.

• Detener el acceso no autorizado a la API y su abuso, sin romper las aplicaciones ni frustrar a los usuarios.

• Identificar y detener los bots maliciosos antes de que puedan afectar negativamente la experiencia de los clientes.

• Detectar los CVE basados en HTTP y las vulnerabilidades conocidas.

4BLUEPRINT DE SEGURIDAD DE APLICACIONES EN LA NUBE

Motor de decisión basado en puntuación contextual Detenga los falsos positivos mediante aprendizaje automático Al examinar diversos parámetros en detalle y combinarlos con el fin de formar una puntuación de riesgo precisa, CloudGuard AppSec elimina los falsos positivos. La puntuación de riesgo final se determina con los datos de múltiples motores:

Riesgo de transacción

Riesgo del comportamiento del usuario

Riesgo de comportamiento de multitudes

Riesgo del contenido

5BLUEPRINT DE SEGURIDAD DE APLICACIONES EN LA NUBE

Riesgo de transacción: este motor toma cualquier transacción o solicitud y la divide en pequeños elementos llamados indicadores de ataque. El motor incluye un diccionario preconstruido de los componentes más pequeños de los ataques relacionados con la web y sus relaciones entre sí. Los indicadores de ataque para una transacción relevante alimentan el motor. Mediante un algoritmo de aprendizaje automático con patente pendiente, determina si es malicioso o no. Si es malicioso, se bloquea de inmediato. Si el resultado es ambiguo, como suele ser el caso, se utilizan otros motores para tomar una decisión.

Riesgo del comportamiento del usuario: este motor analiza todas las solicitudes realizadas por un usuario específico: ¿Cuántos fueron o no maliciosos? ¿Cuántos incluyeron un posible indicador de ataque? En esencia, analiza la intención maliciosa en las solicitudes anteriores de los usuarios. Las puntuaciones de riesgo son creadas para los usuarios y aquellos que demuestren intenciones maliciosas serán bloqueados.

Riesgo de comportamiento de multitudes: este motor mapea un sitio en función de cómo los usuarios interactúan con dicho sitio. El perfil del sitio mostrará cómo algo que podría considerarse anómalo puede ser un comportamiento legítimo típico del uso de la aplicación. Por ejemplo: Se sabe que una URL específica es marcada como sospechosa por muchos usuarios diferentes, por lo que la probabilidad de que esta solicitud sea un ataque específico es menor.

Usuarios de confianza: este motor funciona para acelerar el aprendizaje de las aplicaciones mediante la creación de una lista blanca de entradas permitidas de usuarios de confianza definidos.

Riesgo del contenido: este motor aprende cuál es el contenido típico de un campo específico de una aplicación determinada. Proporciona un análisis más detallado del contenido en sí: ¿cuáles son los patrones esperados en cada campo? Por ejemplo, una aplicación puede tener un campo esperado como la ejecución de un comando. Todo motor WAF tradicional puede identificar el valor de dicho campo como una ejecución remota de código y bloquearlo. En contraste, este motor detecta que la combinación específica del campo y el valor ha sido realizada por muchos otros usuarios, es legítima y acepta el patrón. Al observar otras fuentes que solicitaron el mismo parámetro y verificar cuántos otros usuarios solicitaron valores similares, se eliminarán los falsos positivos. El análisis de los patrones del campo se puede obtener de cualquiera de los motores anteriores.

Este tipo de análisis contextual es crítico para las aplicaciones web, ya que generalmente están orientadas al cliente. Los falsos positivos podrían resultar en que a los clientes reales se les impida acceder a un sitio. La combinación del análisis de riesgos de múltiples motores da como resultado una decisión más precisa y en comprensión del contexto. Permite a los administradores de seguridad operar cómodamente en el modo de prevención, sin la preocupación de bloquear solicitudes legítimas.

6BLUEPRINT DE SEGURIDAD DE APLICACIONES EN LA NUBE

Aprendizaje continuo Ajustes automáticos Al inicio las aplicaciones web se ponen en modo de aprendizaje. Los datos de aprendizaje se guardan en un agente y en la nube. El mecanismo está distribuido: existen diversas CPU que funcionan de forma independiente, almacenan la información en la memoria y la sincronizan entre sí cada hora. Cada CPU distribuida ejecuta todos los motores mencionados anteriormente. Tienen un profundo conocimiento de la aplicación en términos de cuál es la fuente, el método HTTP, los tipos de solicitudes HTTP, cada par de clave/valor en la solicitud HTTP y dónde residen específicamente. Toda esta información es analizada e introducida en los motores.

El sistema comienza en modo de aprendizaje/detección. En unos pocos días, el sistema completa su aprendizaje y el usuario puede optar por cambiarlo al modo de prevención.

El aprendizaje supervisado es un modo en el que el sistema ayuda a la máquina a aprender mucho más rápido.En esencia, es una herramienta proporcionada para que un administrador acelere el tiempo de aprendizaje y pueda cambiar al modo de prevención más rápido. Funciona mediante el análisis de los registros del usuario durante la semana anterior y la identificación de los elementos catalogados como maliciosos de gravedad alta o crítica. Busca las similitudes entre ellos y los presenta al usuario agrupados en un patrón específico. Uno de estos patrones es la agrupación según un identificador de origen específico, como un correo electrónico o IP de origen. El usuario recibe una sugerencia de ajuste. Por ejemplo, "70% de las solicitudes de este identificador de origen fueron marcadas como críticas. Un verdadero positivo significa que se trata de un atacante: al marcarse como malicioso, será bloqueado. Al marcar un falso positivo como benigno, se indica que el sistema ha marcado demasiadas solicitudes como maliciosas". Esto ayuda al aprendizaje automático a comprender que se trata de una solicitud benigna, un hallazgo al que se habría llegado con el tiempo.Los usuarios pueden acelerar este proceso gracias al aprendizaje supervisado.

7BLUEPRINT DE SEGURIDAD DE APLICACIONES EN LA NUBE

Validación de esquemas OpenAPI Restrinja el alcance de los ataques a la API Además del motor contextual y el aprendizaje, CloudGuard AppSec permite la validación del esquema de API. Los usuarios pueden cargar sus esquemas, generalmente en forma de un archivo JSON, que describe la funcionalidad de API del servidor. CloudGuard AppSec se asegurará de aplicar este esquema al asegurar que nadie pueda infiltrarse en las aplicaciones a través de las API y los campos que no están explícitamente permitidos.Lo hace al buscar claves en el esquema y comprobar que el valor de la solicitud se corresponda con lo permitido. Aquí tiene un ejemplo de un archivo JSON:

Observe que el tipo de cada campo está explícitamente especificado. Por ejemplo, el campo "read- ingValue" debe ser un número con un valor mínimo de 1 y máximo de 100 000.

Cuando el cliente realiza una operación POST al servidor, incluirá la decisión de este

script que define si la solicitud fue originada por un bot

o un humano.

8BLUEPRINT DE SEGURIDAD DE APLICACIONES EN LA NUBE

Ataques de bots: cómo distinguir entre humanos y no humanos Valide el tráfico legítimo frente a los bots Los atacantes han utilizado bots maliciosos en todo tipo de situaciones, desde ataques distribuidos de denegación de servicio hasta compras de las últimas zapatillas Nike, en cuestión de segundos. La utilización de bots para ataques automatizados es una práctica habitual entre los delincuentes cibernéticos. Entre algunos ejemplos de cómo los atacantes utilizan bots como armas, se encuen- tran los siguientes:

• Reconocimiento • Raspado • Relleno de credenciales • Creación automatizada de cuentas • Craqueo de tokens

CloudGuard AppSec utiliza el análisis de comportamiento del lado del cliente para distinguir el comportamiento humano.

Una vez que el cliente se conecta a un servidor, realiza una operación GET.

Recibe la página desde el servidor, incluido un JavaS- cript desarrollado por Check

Point que se inyecta en el navegador del cliente.

Este script recopila información sobre el

comportamiento del cliente.

9BLUEPRINT DE SEGURIDAD DE APLICACIONES EN LA NUBE

Conclusión Las aplicaciones son el principal impulsor de negocios de cada organización. Debido a la proliferación de API, las superficies de ataque se expanden rápidamente. DevOps actualiza las aplicaciones con una regularidad cada vez mayor y la seguridad de las aplicaciones tradicionales no tiene la capacidad para mantener el ritmo y la escala del cambio. Las aplicaciones modernas exigen una seguridad moderna que proporcione prevención precisa sin generar falsos positivos. Las modernas aplicaciones en la nube necesitan la cobertura de una solución de seguridad totalmente automatizada y en constante aprendizaje de la aplicación, el contenido y el comportamiento del usuario con el fin de tomar la decisión adecuada cada vez que ingresa una solicitud web.

CloudGuard proporciona seguridad de aplicaciones impulsada por IA contextual y examina todos los parámetros asociados con una solicitud de API o aplicación web con el fin de elaborar una puntuación del riesgo. Al identificar automáticamente las solicitudes maliciosas y las no maliciosas, CloudGuard reduce las sobrecargas operativas al proporcionar un alto nivel de precisión en la prevención de amenazas.

Inicie una prueba gratis de CloudGuard AppSec; o bien solicite una demostración hoy mismo.

Sede mundial 5 Ha’Solelim Street, Tel Aviv 67897, Israel | Tel.: 972-3-753-4555 | Fax: 972-3-624-1100 | Correo electrónico: info@checkpoint.com

Sede en EE. UU. 959 Skyway Road, Suite 300, San Carlos, CA 94070 | Tel.: 800-429-4391; 650-628-2000 | Fax: 650-654-4233

www.checkpoint.com

© 2022 Check Point Software Technologies Ltd. Todos los derechos reservados.

Protección IPS Prevenga ataques basados en protocolos y vulnerabilidades conocidas La protección IPS ofrecida por CloudGuard AppSec se complementa con las protecciones ya analizadas. Aunque laautoprotección de aplicaciones analiza las solicitudes HTTP con aprendizaje automático y una comprensión más profunda, es posible que no detecte las vulnerabilidades por fuera de los patrones que está buscando. El IPS detectará cualquier vulnerabilidad conocida. Tiene la capacidad de prevenir los CVE maliciosos conocidos al buscar firmas en las solicitudes. Cuando una firma coincide con un patrón conocido como parte de un CVE, la solicitud se bloquea.

Las firmas de CloudGuard AppSec se basan en HTTP. El back-end que Check Point utiliza para identificar estas firmas maliciosas es ThreatCloud, una red colaborativa y una base de conocimientos impulsada por la nube que ofrece inteligencia de seguridad dinámica en tiempo real.

CloudGuard AppSec es la evolución lógica de los WAF basados en reglas a la protección de aplicaciones web automática y de autoaprendizaje.

https://pages.checkpoint.com/cloudguard-appsec-trial.html https://pages.checkpoint.com/cloudguard-appsec-demo.html https://www.checkpoint.com/support-services/threatcloud-managed-security-service/